# 通过全球加速服务实现站点入云VPN加速 #### 方案概述 **应用场景：**站点入云VPN（Site-to-Cloud VPN，以下简称S2C VPN）基于IPsec协议，为企业用户在本地网络、数据中心与云上网络之间搭建安全、可靠、高性价比的加密连接通道，使用中可能面临如下问题： - 不支持在中国大陆和非中国大陆之间建立VPN跨境连接 - 网络质量差：如数据传输速率慢、时延高，抖动，丢包等 GA加速站点入云VPN，可以解决上述问题，为混合云部署、跨地域VPC互联、企业多分支互联等应用场景提供高可靠、低时延的安全通道。 **方案架构：** GA加速站点入云VPN，即使用GA对VPN网关和对端网关之间的IPsec VPN隧道进行加速，方案架构图如[图1]所示。 - 将GA服务的终端节点设置成VPN网关的EIP，以便GA可以将加速流量发送到VPN网关。 - 将对端网关的远端IP设置成GA的Anycast IP，以便对端网关通过GA跟VPN网关建立VPN。 图1GA加速VPN示意图 ![](https://support.huaweicloud.com/bestpractice-ga/zh-cn_image_0000002240148465.png "点击放大") #### 约束与限制 - 华为云VPN使用IPsec隧道，即使用UDP协议传输，使用GA加速的流量是IPsec隧道中的流量，因此均为UDP报文。 - GA加速EIP后端，数据包在GA节点会进行NAT转换，因此云上VPN网关看不到对端网关真正的IP地址，配置VPN时，需要开启VPN网关非固定IP功能。 - 本实践适用的站点入云VPN网关规格：专业型1-非固定IP、专业型2-非固定IP。 关于站点入云VPN的产品规格详细请参见[站点入云VPN](https://support.huaweicloud.com/productdesc-vpn/vpn_01_0036.html)。 #### 资源成本与规划 本节介绍最佳实践中资源规划情况，包含以下内容： 表1通过全球加速服务实现站点入云VPN加速的资源和成本规划 | 资源 | 资源说明 | 数量 | 费用 | |:---|:---|:---|:---| | 全球加速实例 | 按照每个全球加速实例的创建时长收费。 按小时计费，创建时长不满1小时按1小时收费。 实例费=实例单价\*创建时长 | 2 说明： 1个站点入云VPN关联两个EIP，需要使用两个全球加速实例分别加速。 | 请参见[全球加速价格详情](https://www.huaweicloud.com/pricing.html#/ga)。 | | 数据传输 | 通过全球加速服务转发的流量费用，按GB收费。 从一个全球加速接入点到一个应用部署区域之间的流量，定义流量大的方向为主方向，按照每条流量的主方向收费。 数据传输费=流量单价\*使用量 | 根据实际转发的流量 | 请参见[全球加速价格详情](https://www.huaweicloud.com/pricing.html#/ga)。 | | 站点入云VPN | 使用包年/包月计费模式的专业型站点入云VPN，根据规格不同，支持的最大VPN连接组数和最大带宽不同。 | 1 | 请参见[虚拟专用网络价格详情](https://www.huaweicloud.com/pricing/calculator.html#/vpn)。 | #### 配置流程 | 步骤 | 说明 | |:---|:---| | [步骤一：准备工作] | - 如果VPN网络和对端网关涉及跨境访问，需要申请跨境资质。 - 在VPN所属区域购买2个EIP。 | | [步骤二：配置全球加速服务] | 将已购买的2个EIP作为后端终端节点，分别配置全球加速实例。 | | [步骤三：配置虚拟专用网络] | 配置VPN并将已购买的EIP作为VPN网关的主EIP和主EIP2。 1. 购买站点入云VPN网关。 2. 创建对端网关。 3. 创建VPN连接。 | | [步骤四：配置对端网关设备] | 基础VPN业务开通后，将云下路由设备中对端网关IP地址配置为GA的Anycast IP。 | | [步骤五：连通性测试] | 配置完成后，查看VPN连接状态、全球加速实例健康检查状态为正常，同时用户数据中心内的服务器和华为云上子网内的服务器可以相互Ping通。 | #### 步骤一：准备工作 - 购买2个弹性公网IP，详细请参见[获取EIP](https://support.huaweicloud.com/usermanual-eip/eip_0008.html)。 - 如果VPN网络和对端网关涉及跨境访问，需要申请跨境资质，详细请参见[跨境资质申请](https://support.huaweicloud.com/usermanual-ga/ga_03_8001.html)。 #### 步骤二：配置全球加速服务 1. 登录[全球加速控制台](https://console.huaweicloud.com/ga/?locale=zh-cn#/)。 2. 在全球加速服务页面，单击"购买全球加速服务"。 根据对端网关所属区域选择加速区域（以对端网关在中国大陆以外为例） 图2创建全球实例 ![](https://support.huaweicloud.com/bestpractice-ga/zh-cn_image_0000001962516477.png "点击放大") 3. 根据界面提示配置配置监听器、终端节点组、终端节点、健康检查相关参数。 - 监听器：前端协议选择UDP；端口范围设置为"500,4500"。 - 终端节点组：根据VPN网关所属区域添加终端节点组，将已购买的一个EIP添加为终端节点。 - 健康检查：开启健康检查，前端协议选择UDP，端口使用500或4500均可。 图3全球加速实例参数配置 ![](https://support.huaweicloud.com/bestpractice-ga/zh-cn_image_0000002271692869.png "点击放大") 4. 单击"下一步"，确认配置并完成购买。 5. 重复步骤[2]-[4]，再购买一个GA实例，将已购买的另一个EIP配置为终端节点。 6. 返回全球加速实例列表，在"IP地址"列查看并记录两个EIP对应的Anycast IP。 #### 步骤三：配置虚拟专用网络 1. 购买站点入云VPN网关。 1. 登录[站点入云VPN网关控制台](https://console.huaweicloud.com/vpn/?locale=zh-cn#/vpn/s2cVpn/vpngws/list)。 2. 在页面右上角，单击"创建站点入云VPN网关"。 图4创建站点入云VPN网关 ![](https://support.huaweicloud.com/bestpractice-ga/zh-cn_image_0000002231975528.png "点击放大") 3. 根据界面提示配置VPN网关参数。 - 计费模式：包年/包月。 - 规格：选择"专业型1"或"专业型2"；开启非固定IP接入。 - 弹性公网IP：关闭"是否使用共享带宽"；主EIP和主EIP2选择"使用已有"，分别设置为已购买的两个EIP。 图5配置VPN网关参数 ![](https://support.huaweicloud.com/bestpractice-ga/zh-cn_image_0000002266803257.png "点击放大") 4. 单击"立即购买"，确认配置并完成支付。 2. 创建对端网关。 1. 登录[对端网关列表页面](https://console.huaweicloud.com/vpn/?locale=zh-cn#/vpn/s2cVpn/vpnCgws/list)。 2. 在页面右上角，单击"创建对端网关"。 图6创建对端网关 ![](https://support.huaweicloud.com/bestpractice-ga/zh-cn_image_0000002231972682.png "点击放大") 3. 根据界面提示配置对端网关参数。 标识选择"FQDN"类型，记录设置的对端网关标识，以便在配置云下路由的IPsec VPN时使用。 图7配置对端网关参数 ![](https://support.huaweicloud.com/bestpractice-ga/zh-cn_image_0000002266927625.png "点击放大") 3. 创建VPN连接。 1. 登录[VPN连接列表页面](https://console.huaweicloud.com/vpn/?locale=zh-cn#/vpn/s2cVpn/vpnConns/list)。 2. 在页面右上角，单击"创建VPN连接"。 图8创建VPN连接 ![](https://support.huaweicloud.com/bestpractice-ga/zh-cn_image_0000002266771625.png "点击放大") 3. 根据界面提示配置VPN连接参数。 - VPN网关：选择步骤[1]创建的VPN网关。 - 网关IP：选择VPN网关关联的两个EIP中的任意一个。 - 对端网关：选择步骤[2]创建的对端网关。 - 连接模式：默认"策略模板模式"。 图9配置VPN连接参数 ![](https://support.huaweicloud.com/bestpractice-ga/zh-cn_image_0000002267450985.png "点击放大") 4. 重复上述步骤，为VPN网关关联的另一个EIP创建VPN连接。 #### 步骤四：配置对端网关设备 相比单独使用站点入云VPN，使用GA加速站点入云VPN，在云下对端网关设备上配置IPsec VPN时，需要注意如下几点： - IKE配置：设置本端标识类型为FQDN，使用步骤[2]中设置的对端网关标识作为本端标识；对端标识使用站点入云VPN的EIP，对端网关IP地址使用加速此EIP的GA Anycast IP。 - IPsec配置：开启NAT穿越。 根据对端网关类型不同，配置操作可能存在差异。详细配置方法，请参见[虚拟专用网络管理员指南](https://support.huaweicloud.com/admin-vpn/vpn_admin_00110.html)中在对端网关侧的操作指南。 #### 步骤五：连通性测试 配置完成后： - 查看VPN连接状态为正常，详细请参见[查看已创建的VPN连接](https://support.huaweicloud.com/usermanual-vpn/vpn_ug_00013.html)。 - 查看全球加速实例健康检查状态为正常，详细请参见[查看终端节点](https://support.huaweicloud.com/usermanual-ga/ga_03_4003.html)。 - 云下用户数据中心的服务器和云上VPC子网内的云服务器通过可以相互Ping通。